Longueur code PIN mobile : pourquoi 6 chiffres est la norme moderne
Il n'y a pas de mandat universel, mais 6 chiffres s'est imposé comme standard de facto pour PINs appareils mobiles, équilibrant résistance force brute et mémorabilité humaine.
Les maths : Entropie & Devinabilité
| Longueur PIN | Combinaisons (0-9) | Entropie (bits) | Temps devinette en ligne (10/sec, sans verrouillage) | Cassage hors-ligne (Hash) |
|---|---|---|---|---|
| 4 chiffres | 10 000 | 13,3 | 16 min | Instantané |
| 6 chiffres | 1 000 000 | 19,9 | 27 heures | Secondes |
| 8 chiffres | 100 000 000 | 26,6 | 115 jours | Minutes |
| Alphanumérique (6 char, 62^6) | 56,8 Md | 35,7 | 180 ans | Heures |
Pourquoi pas juste 8+ chiffres ?
- Taux échec mémoire : 4 chiffres : ~2 % oubli. 6 chiffres : ~5 %. 8 chiffres : ~15 %+ (NIST SP 800-63B).
- Comportements compensatoires : PIN long oublié → post-it, sauvegardé dans Notes, réutilisé comptes — annulant le gain d'entropie.
- Friction saisie : 8+ chiffres sur pavé 3×4 (ou tactile) augmente erreurs saisie, frustration, verrouillages.
Ce qui vous protège vraiment : La politique de verrouillage
L'entropie ne compte que si l'attaquant a accès hors-ligne au hash (extraction physique, outil forensic). Sur téléphone vivant :
- iOS : 6 tentatives → 1 min délai → ... → 10 tentatives → effacement données (si activé). Secure Enclave l'applique en hardware. PIN 6 chiffres = virtuellement incassable en ligne.
- Android (Pixel/Samsung modernes) : 5 tentatives → 30 sec → backoff exponentiel → reset usine après ~15-30 échecs. Chiffrement base fichiers + Titan M2 / StrongBox.
Conclusion : PIN 6 chiffres aléatoire + limitation tentatives hardware-enforced = cryptographiquement suffisant pour protection sur-appareil.
Hiérarchie meilleures pratiques
- Biométrie primaire (Face ID / Empreinte) : Haute entropie, zéro charge rappel.
- PIN 6 chiffres aléatoire (Backup) : Pas année naissance, pas 123456, pas répétition. Utilisez gestionnaire mots de passe pour générer/stocker.
- Mot de passe alphanumérique (Haute sécurité) : Si vous faites face menaces physiques ciblées (journaliste, activiste, cadre). Utilisez gestionnaire mots de passe.
- Activez Auto-effacement / Effacement à distance : Localiser (iOS) / Localiser mon appareil (Android).
La longueur seule est métrique vanité. Aléatoire + limitation taux hardware + effacement à distance est la vraie pile sécurité.